医院信息系统安全管理制度

医院信息系统安全管理制度一、总则本制度是医院所有信息系统建设、运维、使用、废弃全生命周期安全管理的最高准则，覆盖所有涉及患者诊疗数据、运营管理数据的信息资产，不存在任何特殊豁免岗位或系统。1.制定依据：严格遵循《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《医疗卫生机构网络安全管理办法》《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019）等法律法规与标准规范，满足三级等保对医疗核心业务系统的合规要求。2.适用范围：覆盖院内所有部署运行的信息系统（HIS、EMR、LIS、PACS、RIS、医保结算系统、智慧护理系统、互联网医院平台、OA、财务系统）、网络基础设施（交换机、路由器、防火墙、链路）、终端设备（医生站电脑、护士站电脑、自助机、检查设备工作站、移动护理PDA）、数据资产（患者诊疗信息、运营数据、财务数据）；覆盖所有接触系统的人员，包括本院职工、规培生、进修生、第三方运维/开发/实施人员、外包服务人员。3.核心原则：坚持“谁主管谁负责、谁运营谁负责、谁使用谁负责”，安全投入优先级高于功能迭代投入，安全防护措施与系统建设同步规划、同步建设、同步运行。二、组织架构与责任划分信息系统安全的责任必须落实到具体岗位，禁止以“集体负责”的名义模糊边界，所有安全事件均可追溯到直接责任人与管理责任人。医院建立三级安全责任体系：1.决策层：网络安全与信息化领导小组■组成：组长由院长担任，副组长由分管信息、医疗、后勤的副院长担任，成员包括信息科、医务科、护理部、院感科、财务科、医保办、保卫科、宣传科负责人。■具体职责：每季度第一个周的周三召开安全专题会，审议安全预算、重大事件处置报告、年度安全计划；发生一级安全事件后1小时内启动决策流程；每年审批不少于信息系统年度运维经费15%的安全专项投入（按行业测算，安全投入占比不低于15%为三级等保硬性要求）。2.执行层：信息科安全运维组■岗位配置：信息科主任为信息安全第一责任人，下设3个专职岗位，人员需持有CISP或等保测评师证书：系统安全岗2人，负责防火墙、WAF、EDR、堡垒机的策略配置与漏洞修复；网络运维岗2人，负责核心网络设备、链路的冗余配置与故障排查；数据安全岗1人，负责数据备份、权限审计、泄露溯源。■具体职责：系统安全岗必须每周完成1次全网漏洞扫描，高危漏洞24小时内完成修复，中危漏洞72小时内修复，低危漏洞15天内修复；网络运维岗每日检查核心设备运行状态，双机热备切换可用性每月测试1次；数据安全岗每日核查备份任务完成状态，每月完成1次账号权限审计。3.落地层：科室兼职信息安全员■配置要求：每个临床、医技、行政科室设1名兼职信息安全员，由科室副主任或高年资护士担任，经信息科统一培训后上岗。■具体职责：每周检查本科室终端的杀毒软件运行状态，收集账号异常、系统故障线索，督促科室人员遵守终端使用规范，发现违规行为2小时内报信息科；信息科每季度组织1次信息安全员技能培训，考核合格后方可继续履职。4.第三方责任：所有进场服务的厂商人员必须签订《数据安全保密协议》，缴纳合同额5%的安全履约保证金（质保期满无安全事件全额退还），进场前需通过信息科组织的安全考试（80分以上合格），方可领取临时系统权限。三、账号与权限管理账号越权与弱口令是80%以上内部数据泄露、非法操作事件的根源，所有权限分配遵循“最小必要、权限与岗位匹配、全程留痕”原则，禁止任何形式的通用账号、共享账号。1.账号全生命周期流程■开通：新职工入职时，凭人事科出具的入职通知单，本人到信息科填写《系统账号开通申请表》，信息科根据其岗位匹配默认权限（如住院医师仅可查看、编辑管辖床位患者的病历，无跨诊疗组数据查看权限；收费员仅可操作收费结算界面，无病历修改权限；病案室人员仅可导出归档病历，无在院患者数据修改权限）。账号开通后由申请人当场修改初始密码，初始密码为系统生成的12位以上含大小写、数字、特殊字符的随机串，禁止使用“123456”“hospital@123”等通用弱口令。■变更：人员岗位调整时，人事科需在调令发出24小时内同步信息科，信息科4小时内完成权限调整，严格执行“岗变权变”，禁止权限“只加不减”（如医师从内科调至外科时，必须收回原内科病历的查看、编辑权限）。■注销：人员离职、退休、调离时，人事科必须先通知信息科注销所有系统账号，经信息科签字确认后，方可办理工资结算、离职证明开具手续；未完成账号注销流程即办理离职的，若出现账号被冒用引发的安全事件，由人事科经办人与科室负责人承担连带责任。2.密码与登录规则■所有系统账号密码长度不低于10位，必须包含大写字母、小写字母、数字、特殊字符中的3类，每90天强制更换，近5次密码不得重复；连续5次输错密码自动锁定账号，锁定后需本人持工作证到信息科现场解锁，禁止委托他人代解锁。■人员离开工位超过5分钟必须锁定屏幕（Win+L快捷键），离开超过10分钟必须退出系统登录；终端统一设置5分钟无操作自动启动带密码的屏幕保护。信息科现场抽查发现未锁屏的，扣当事人当月绩效20元/次。3.特权账号管理■系统管理员、数据库管理员的超级账号必须存储在堡垒机密码保险箱中，每次使用需经信息科主任审批，操作过程全程录屏，录屏保存期限不低于180天；严禁超级账号直接从业务终端登录，必须通过堡垒机跳转访问。■临时账号（厂商运维、科研项目使用）必须设置明确的使用期限，最长不超过30天，到期自动收回权限；临时账号权限不得超出申请的工作范围。4.禁令条款■严禁个人账号转借他人使用，违者第一次扣当月绩效10%，第二次停岗培训3天；造成数据泄露或非法操作的，承担相应法律责任。■严禁科室设置“护士站公用账号”“医生办公室通用账号”，信息科每月通过堡垒机审计登录日志，发现共享账号直接停用，并扣科室当月安全考核分5分。四、终端与网络安全管理终端是外部攻击进入核心业务系统的主要入口，网络边界是阻断攻击横向扩散的第一道防线，两类资产的管控必须覆盖100%接入设备，不存在“测试终端免管控”“临时设备免检查”的例外。1.终端安全管控■所有接入内网的终端必须安装统一的EDR终端检测与响应系统，开启杀毒软件实时防护，禁止私自卸载安全软件。信息科通过安全管理平台实时监测终端防护状态，发现终端离线、杀毒软件被关闭的，10分钟内通知对应科室信息安全员，30分钟内未恢复的，自动断开该终端的内网连接。■终端USB接口默认关闭存储功能，仅开放Ukey、打印机、扫码枪的识别权限；因工作需要开通USB存储权限的，需经科室主任签字、信息科主任审批，使用信息科统一配发的硬件加密U盘（带操作留痕功能），工作完成后立即收回权限。■严禁在内网终端插入私人U盘、移动硬盘、手机等存储设备（私人U盘是勒索病毒传播的核心载体，攻击路径为：私人U盘在公共网络感染病毒→插入内网终端→病毒扫描内网共享目录与数据库端口→10分钟内横向传播至核心服务器→加密全量业务数据导致诊疗中断，此类事件赎金通常达数十万至数百万元，解密成功率不足30%）。跨网文件传输优先使用单向光闸摆渡，经病毒查杀、内容审计后方可传入内网；严禁在光闸上开通反向传输通道。■严禁在内网终端安装与工作无关的软件（视频客户端、游戏、炒股软件等），信息科每周扫描终端软件安装列表，发现违规软件远程卸载，并扣当事人绩效50元/次。■所有职工使用医院工作邮箱时，严禁点击来源不明的邮件附件、链接；收到发件人可疑、内容异常的邮件（如冒充院领导要求转账、冒充信息科索要密码、带exe/zip格式附件的邮件），立即删除并报信息科核实。信息科每季度开展1次钓鱼邮件模拟演练，对点击钓鱼链接的人员，安排重新参加安全培训。2.网络安全管控■核心网络采用双链路冗余架构，核心交换机、路由器、防火墙均配置双机热备，单点故障时自动切换时间不超过50毫秒，保证门诊挂号、收费、发药业务无感知切换。■网络严格分区隔离，划分为核心业务区（HIS、EMR、LIS、PACS服务器集群）、终端办公区、互联网出口区、医疗设备区、DMZ区（互联网医院前置机）；各区之间通过下一代防火墙配置最小化访问策略，仅开放业务必需端口（如终端仅可访问业务系统的1521、1433等应用端口），严禁直接开放服务器的3389远程桌面、22SSH端口给终端办公区。■互联网出口必须部署WAFWeb应用防火墙、入侵检测系统IDS、抗DDoS设备，实时监测攻击行为，对来自境外IP的访问请求默认全部阻断（有国际医疗业务需求的单独申请白名单）。互联网暴露的系统（预约挂号平台、互联网医院）每半个月开展1次渗透测试，发现SQL注入、越权访问、文件上传等高危漏洞必须4小时内修复。■医疗无线专网（供移动护理PDA、移动查房平板使用）与患者公共WiFi物理隔离，公共WiFi禁止接入任何内网业务系统；无线专网采用802.1X+MAC地址绑定认证，非授权设备无法接入。五、数据安全管理患者诊疗数据是医院的核心敏感资产，数据泄露不仅会触发《个人信息保护法》规定的最高5%年营收的罚款，还会严重损害医院公众信任，数据全生命周期管理必须覆盖采集、存储、传输、使用、共享、销毁所有环节。1.数据分级保护■一级核心数据：患者身份证号、手机号、就诊记录、诊断结果、检验检查报告、医保结算信息、医院财务数据，此类数据必须采用国密SM4算法加密存储，禁止明文传输、明文落盘。■二级重要数据：医院运营统计数据、设备采购数据、人员薪酬数据，此类数据的所有访问操作必须留痕，审计日志留存不低于180天。■三级一般数据：医院公开的通知、宣传材料，可在办公网公开发布。2.数据备份与恢复■严格执行3-2-1备份策略：保留3份数据副本（生产环境1份、本地备份服务器1份、异地灾备中心1份）、2种存储介质（磁盘阵列、磁带库）、1份离线冷备份。具体备份频率：核心业务数据库每15分钟做1次增量备份，每日0点做1次全量备份，全量备份数据同步传输至距离医院不小于50公里的异地灾备中心；离线冷备份每月更新1次，存放在防火、防水、防盗的专用保险柜中。■数据备份有效性验证：每月开展1次备份恢复演练，记录恢复时长、数据完整性，核心系统RTO（恢复时间目标）不超过4小时，RPO（恢复点目标）不超过15分钟（即故障时最多丢失15分钟的业务数据）。严禁只备份不做恢复测试，避免备份文件损坏导致故障时无法恢复。3.数据导出与共享■临床、科研、医保等工作需要批量导出患者数据的，必须填写《数据导出/共享审批表》，说明导出用途、字段范围、数据量级、使用期限：一次导出1000条以内患者数据的，经科室主任签字、医务科审核、信息科主任审批；一次导出超过1000条患者数据的，必须报分管副院长审批。导出的数据由数据安全岗添加隐形水印（水印包含导出人姓名、工号、导出时间），严格按照申请字段导出，严禁导出与用途无关的字段（如科研统计糖尿病患者血糖数据时，不得导出患者手机号、家庭住址信息）。■数据共享给第三方机构（医保局、疾控中心、科研合作单位）时，必须签订数据安全共享协议，明确数据使用范围、保密义务、安全责任；严禁将患者数据提供给商业保险机构、医药企业用于营销活动（根据《个人信息保护法》，违规向他人提供个人信息的，对单位处上一年度营业额5%以下罚款，对直接责任人处1万元以上10万元以下罚款，情节严重的追究刑事责任）。4.数据销毁■存储介质（硬盘、U盘、磁带）报废时，必须由信息科数据安全岗采用消磁+物理粉碎的方式销毁，禁止将带数据的硬盘直接作为废品出售。销毁过程需2人在场监督，填写《存储介质销毁登记表》，记录介质编号、销毁时间、经办人、监督人，记录留存3年。六、系统建设与运维安全管理系统上线前的安全缺陷是运行期重大安全隐患的源头，运维操作的不规范是导致非计划宕机的主要原因，必须将安全要求嵌入系统建设全流程，禁止“先上线再补安全”。1.系统上线安全要求■所有新采购的信息系统，招标阶段必须明确要求符合三级等保安全标准；上线前必须由具备资质的第三方测评机构开展渗透测试与安全测评，发现高危漏洞未修复的，一律不得上线运行。■系统上线时必须同步开启全量操作日志，记录所有用户的登录时间、操作内容、IP地址，日志保存期限不低于6个月。厂商开发人员必须在独立测试环境调试代码，禁止直接在生产环境修改代码；代码上线前需经系统安全岗审核，确认无后门、无恶意代码后方可发布。2.日常运维操作规范■所有运维操作必须通过堡垒机执行，禁止直接登录生产服务器操作。运维操作优先安排在非业务高峰时段（00:00-05:00），操作前必须完成对应系统的数据备份，制定明确的回退方案；操作过程执行“一人操作、一人复核”机制，操作完成后观察30分钟，确认系统运行正常后方可离开。■严禁在业务高峰时段（08:00-17:00）安装系统补丁、调整核心网络策略，避免引发业务中断。■厂商工程师远程运维时，必须使用信息科指定的VPN通道，经对应运维岗位人员审批后开通临时权限，运维过程全程录屏，运维结束后立即关闭临时权限；严禁厂商私自留存VPN账号、绕过堡垒机直接接入生产系统。厂商人员严禁使用个人U盘连接内网服务器或终端，运维所需工具软件需经系统安全岗病毒查杀后，通过堡垒机文件通道传入，违者扣除50%履约保证金，造成安全事件的全额扣除，并保留追究法律责任的权利。七、安全监测与应急处置安全事件造成的损失大小，与发现、处置的时间成指数级正相关——攻击发生后1小时内处置的损失仅为超过24小时处置的1%，必须建立分级响应、快速处置的应急机制，杜绝迟报、瞒报。1.7*24小时监测要求■信息科实行全天候值班制度：工作日白班由安全运维组人员值守，夜间、节假日安排值班人员携带值班手机，响铃3声内必须接听。安全管理平台产生的告警实行分级响应：■高危告警（勒索病毒感染、数据库异常外连、超级账号异地登录）：5分钟内响应，15分钟内初步判断影响范围；■中危告警（弱口令、终端杀毒软件离线）：30分钟内响应，2小时内处置完成；■低危告警（非业务端口开放、短时间登录失败次数较多）：4小时内响应，1个工作日内处置完成。2.事件分级与响应权限事件等级判定标准启动权限处置要求三级（一般）单个终端故障、单个科室系统访问缓慢、单个用户账号异常，无全院业务影响与数据泄露风险值班运维人员直接现场处置，处置完成后记录运维日志，24小时内报信息科主任二级（较大）单个非核心业务系统（LIS、PACS）中断30分钟以内，或存在少于100条患者信息的泄露风险信息科主任10分钟内通知对应业务科室负责人，2小时内恢复业务，处置完成后24小时内形成事件报告报分管副院长一级（重大）核心业务系统（HIS、EMR、医保结算系统）中断超过30分钟，或超过1000条患者数据泄露、遭遇勒索病毒攻击院长（网络安全领导小组组长）1小时内上报属地卫生健康委、网信部门、公安部门，按照“优先恢复诊疗业务、优先保护数据安全”原则处置，严禁私自联系勒索攻击者支付赎金3.标准化处置流程■第一步隔离：发现一级、二级事件时，第一时间断开受感染/受影响区域的网络连接，防止攻击横向扩散（如发现终端感染勒索病毒，立即拔掉网线，不要重启设备、不要点击弹窗）。■第二步研判：安全运维组快速定位事件原因、评估影响范围，优先排查急诊、手术、门诊等关键业务区域的受影响情况。■第三步恢复：核心系统中断时，首先切换备用服务器接管业务，优先保障急诊、手术、门诊收费发药的业务运行；系统中断超过10分钟时，各科室立即启动手工预案（使用提前备好的盖有公章的手工处方、检查申请单、收费收据），优先保障急危重症患者救治，不得因系统故障推诿患者。■第四步溯源：事件处置完成后3个工作日内组织复盘，查找事件根源，形成整改方案补齐防护短板，避免同类事件重复发生。4.应急演练：每半年组织1次全院范围的信息系统应急演练，模拟勒索病毒攻击、核心系统宕机、数据泄露等场景，检验应急响应速度、备份恢复能力、科室协同效率，演练后形成评估报告，修订完善应急预案。八、培训、考核与责任追究人的安全意识是整个安全防护体系的最薄弱环节，必须通过常态化培训、刚性考核建立全员安全行为习惯，避免“制度写在纸上、挂在墙上，就是没落实在行动上”。1.培训要求■新职工入职时，必须接受不少于4学时的信息系统安全培训，考试合格后方可开通系统账号；■全体在岗职工每年接受不少于2学时的安全培训，内容包括弱口令风险、钓鱼邮件识别、终端使用规范、异常情况上报流程；■信息科安全运维岗位人员每年必须参加不少于16学时的专业安全培训，及时跟进最新攻击手段与防护技术。2.考核机制■信息科每月通过日志审计、终端扫描、现场抽查的方式，检查各科室安全制度落实情况，考核结果纳入科室月度绩效，占科室绩效权重的5%。考核内容包括：是否存在共享账号、是否存在弱口令、是否私接U盘、是否安装无关软件、终端杀毒软件是否正常运行。■对及时发现重大安全隐患、避免重大损失的人员，给予一次性500~5000元奖励，年度评优优先考虑。3.责任追究■发生三级事件且未造成损失的，对直接责任人给予批评教育，扣当月绩效5%；■发生二级事件造成业务中断或少量数据泄露的，对直接责任人扣当月绩效30%，对科室信息安全员、科室主任扣当月绩效10%，取消当年评优资格；■发生一级事件造成重大业务中断、大量数据泄露、医院声誉受损或经济损失的，对直接责任人给予停岗、降职、解除劳动合同处理；存在倒卖患者数据、故意破坏系统等违法行为的，移送司法机关处理。九、附则本制度的条款必须根据国家法规更新、技术迭代、实际运行中发现的问题动态修订，避免制度与实际工作脱节。1.本制度自发布之日起施行，此前印发的信息系统安全相关规定与本制度不一致的，以本制度为准。2.本制度由信息科负责解释，每年12月开展1次全面评审，结合当年安全事件情况、新发布的法规要求、技术发展情况更新条款。附件1：医院信息系统账号开通/变更/注销申请表申请人姓名工号所在科室岗位名称联系电话申请类型□开通□权限变更□账号注销申请权限范围（可附页）示例：住院医师权限，可查看、编辑管辖床位患者电子病历、开具检验检查申请，无病历归档、数据导出权限科室主任意见签字：日期：年月日人事科确认（入职/调岗/离职手续真实性确认）签字：日期：年月日信息科办理记录经办人：办理完成时间：年月日时初始密码交付确认：□申请人已签收并修改初始密码备注附件2：数据导出/共享审批表申请人姓名工号所在科室申请用途联系电话数据量级条申请字段范围（可附页）数据接收单位使用期限科室主任意见签字：日期：年月日业务主管部门审核（医务科/财务科/医保办）签字：日期：年月日审批意见□信息科主任审批（≤1